elanous 0.2.23 → 0.2.24

package/scripts/fleet/node-setup-linux.sh

@@ -0,0 +1,97 @@
+# shellcheck shell=bash
+# 리눅스 노드 갈래 — node-setup.sh 가 원격 `uname -s` = Linux 일 때 source 한다(WORKER-WSL-LINUX-POOL · OP 2026-10-11 host-e-wsl 실측).
+#   맥 갈래(brew·OrbStack·Chrome·~/.zshenv) 대신: apt 기본 패키지 · systemd · docker-ce(공식 apt) · docker 서비스·그룹 · ~/.docker-fleet(빈 currentContext)
+#   · k3d(공식 install.sh) · kubectl(k3s 와 같은 판 · sha256 검증) · nodejs(codex CLI 셔뱅) · codex CLI(이 맥과 같은 판) · 미러(HEAD=main).
+#   bun · 레지스트리 · 클러스터 · kubeconfig · 정책 · DNS · 판 대조는 맥과 «같은» 단계를 탄다(node-setup.sh).
+# ⭐ 단계마다 «이미 돼 있으면 건너뛴다»(멱등) · --check 면 바꾸지 않고 → 할 일만.
+# ⛔ sudo 는 «sudo -n» 으로만 — 비대화형 ssh 에서 비번을 묻고 멈추지 않는다(묻으면 ✗ ⊕ 사람이 칠 명령).
+# ⛔ 코드 밖(윈도우 Startup .cmd · .wslconfig · 자격 · codexHome)은 실행하지 않는다 — linux_handoff 가 «사람 손 할 일»로 출력만.
+# 아키텍처가 이 맥과 다르다(x86_64) → Pod 이미지는 그 노드에서 `ELANOUS_BUILD_REMOTE=<호스트>` 로 굽는다(맥 arm64 이미지 못 씀).
+
+KUBECTL_VER="${ELANOUS_FLEET_KUBECTL_VERSION:-${K3S_IMAGE##*:}}"; KUBECTL_VER="${KUBECTL_VER%%-k3s*}"   # 풀의 k3s 와 같은 판
+CODEX_VER="${ELANOUS_FLEET_CODEX_VERSION:-$(codex --version 2>/dev/null | awk '{print $NF}')}"          # 이 맥과 같은 판
+APT_BASE="ca-certificates curl unzip git python3"                                                        # unzip = bun 설치기
+
+linux_base() {
+  ok "OS Linux $(R 'uname -m' 2>/dev/null)$(R '. /etc/os-release 2>/dev/null && printf " · %s" "$PRETTY_NAME"' 2>/dev/null)"
+  # L1. apt 기본 패키지
+  if R 'for c in curl unzip git python3; do command -v $c >/dev/null || exit 1; done'; then ok "기본 패키지(curl·unzip·git·python3)"
+  elif [ $CHECK = 1 ]; then todo "apt 기본 패키지($APT_BASE)"
+  else R "{ sudo -n apt-get update -qq && sudo -n apt-get install -y -qq $APT_BASE; } >/tmp/fleet-apt.log 2>&1" && ok "기본 패키지 (설치)" || bad "기본 패키지 설치 실패 — 원격 /tmp/fleet-apt.log (sudo 비번이면 사람이: sudo apt-get install -y $APT_BASE)"; fi
+  # L2. systemd — docker·containerd 를 서비스로 띄우려면 PID 1 이 systemd 여야 한다(WSL 은 /etc/wsl.conf 로 켠다).
+  if R 'test "$(ps -p 1 -o comm= 2>/dev/null)" = systemd'; then ok "systemd (PID 1)"
+  else bad "systemd 가 PID 1 이 아니다 — WSL 이면 /etc/wsl.conf 에 [boot] systemd=true 뒤 wsl --shutdown(사람이)"; fi
+  # L3. docker — Docker Desktop shim 이면 멈춘다: 엔진이 윈도우 쪽 Desktop VM 이라 k3d 풀이 그 VM 에 뜬다(배포판 안 docker-ce 가 아니다).
+  SHIM="$(R 'p=$(command -v docker 2>/dev/null) && case "$(readlink -f "$p")" in /mnt/wsl/*|*docker-desktop*) echo shim;; esac; docker info --format "{{.OperatingSystem}}" 2>/dev/null | grep -qi "docker desktop" && echo shim' 2>/dev/null)"
+  if [ -n "$SHIM" ]; then bad "docker 가 Docker Desktop shim 이다 — Desktop 설정에서 이 배포판의 WSL integration 을 끄고(사람이) 다시 돌리면 docker-ce 를 깐다"; echo; echo "✗ $HOST 미완 — 위 ✗ 를 먼저"; exit 1; fi
+  LX_DOCKER_PENDING=0
+  if R 'command -v dockerd >/dev/null && dpkg -s docker-ce >/dev/null 2>&1'; then ok "docker-ce (apt)"
+  elif [ $CHECK = 1 ]; then todo "docker-ce 설치(공식 apt 저장소 · docker-ce·cli·containerd.io·buildx)"; LX_DOCKER_PENDING=1
+  else R '{ sudo -n install -m 0755 -d /etc/apt/keyrings && . /etc/os-release && sudo -n curl -fsSL "https://download.docker.com/linux/$ID/gpg" -o /etc/apt/keyrings/docker.asc && sudo -n chmod a+r /etc/apt/keyrings/docker.asc && printf "Types: deb\nURIs: https://download.docker.com/linux/%s\nSuites: %s\nComponents: stable\nArchitectures: %s\nSigned-By: /etc/apt/keyrings/docker.asc\n" "$ID" "$VERSION_CODENAME" "$(dpkg --print-architecture)" | sudo -n tee /etc/apt/sources.list.d/docker.sources >/dev/null && sudo -n apt-get update -qq && sudo -n apt-get install -y -qq docker-ce docker-ce-cli containerd.io docker-buildx-plugin; } >/tmp/fleet-docker-apt.log 2>&1' && ok "docker-ce (설치 · 공식 apt)" || { bad "docker-ce 설치 실패 — 원격 /tmp/fleet-docker-apt.log (sudo 비번이면 사람이)"; LX_DOCKER_PENDING=1; }; fi
+  if R 'systemctl is-enabled docker containerd >/dev/null 2>&1 && systemctl is-active docker containerd >/dev/null 2>&1'; then ok "docker·containerd 서비스(enable · active)"
+  elif [ $CHECK = 1 ]; then todo "systemctl enable --now docker containerd"; LX_DOCKER_PENDING=1
+  else R 'sudo -n systemctl enable --now docker containerd >/tmp/fleet-docker-svc.log 2>&1' && ok "docker·containerd 서비스 (enable --now)" || { bad "docker 서비스 기동 실패 — 원격 /tmp/fleet-docker-svc.log"; LX_DOCKER_PENDING=1; }; fi
+  # 그룹은 «그룹 db»로 잰다(id -nG <사용자>) — 지금 세션 그룹이 아니라 다음 ssh 연결이 받을 그룹.
+  if R 'id -nG "$(id -un)" | tr " " "\n" | grep -qx docker'; then ok "docker 그룹"
+  elif [ $CHECK = 1 ]; then todo "usermod -aG docker <사용자>"; LX_DOCKER_PENDING=1
+  else R 'sudo -n usermod -aG docker "$(id -un)"' && ok "docker 그룹 (추가 · 새 ssh 연결부터)" || { bad "docker 그룹 추가 실패"; LX_DOCKER_PENDING=1; }; fi
+  if R 'docker info --format "{{.ServerVersion}}"' >/dev/null 2>&1; then ok "docker $(R 'docker info --format "{{.ServerVersion}} cpu={{.NCPU}} mem={{.MemTotal}}"')"
+  elif [ $LX_DOCKER_PENDING = 0 ]; then bad "docker 엔진에 못 붙는다(설치·서비스·그룹은 됐다)"; fi
+  # L4. 플릿 docker 설정 — 리눅스엔 키체인이 없어도 같은 DOCKER_CONFIG 를 쓴다(build.sh ELANOUS_BUILD_REMOTE). 빈 currentContext = 기본 소켓 · buildx 는 시스템 플러그인.
+  if R 'test -f ~/.docker-fleet/config.json && DOCKER_CONFIG=~/.docker-fleet docker info >/dev/null 2>&1 && DOCKER_CONFIG=~/.docker-fleet docker buildx version >/dev/null 2>&1'; then ok "플릿 docker 설정(~/.docker-fleet · buildx)"
+  elif [ $CHECK = 1 ]; then todo "~/.docker-fleet(빈 currentContext)"
+  else R 'mkdir -p ~/.docker-fleet && { test -f ~/.docker-fleet/config.json || printf "{\"currentContext\": \"\"}\n" > ~/.docker-fleet/config.json; }'
+    R 'DOCKER_CONFIG=~/.docker-fleet docker info >/dev/null 2>&1 && DOCKER_CONFIG=~/.docker-fleet docker buildx version >/dev/null 2>&1' && ok "플릿 docker 설정 (~/.docker-fleet 생성 · buildx)" || bad "플릿 docker 설정으로 docker 에 못 붙는다"; fi
+}
+
+linux_tools() {
+  # L5. k3d — 공식 설치 스크립트(/usr/local/bin)
+  if R 'command -v k3d' >/dev/null; then ok "k3d $(R 'k3d version | head -1 | cut -d" " -f3')"
+  elif [ $CHECK = 1 ]; then todo "k3d 설치(공식 install.sh)"
+  else R 'curl -fsSL https://raw.githubusercontent.com/k3d-io/k3d/main/install.sh | sudo -n bash >/tmp/fleet-k3d.log 2>&1' && R 'command -v k3d' >/dev/null && ok "k3d (설치)" || bad "k3d 설치 실패 — 원격 /tmp/fleet-k3d.log"; fi
+  # L6. kubectl — 클러스터와 같은 판 · sha256 이 맞을 때만 설치한다(원격 클러스터 점검이 이것을 쓴다).
+  kv="$(R 'kubectl version --client -o json 2>/dev/null | python3 -c "import json,sys;print(json.load(sys.stdin)[\"clientVersion\"][\"gitVersion\"])"' 2>/dev/null)"
+  if [ "$kv" = "$KUBECTL_VER" ]; then ok "kubectl $kv"
+  elif [ $CHECK = 1 ]; then todo "kubectl $KUBECTL_VER 설치(지금 ${kv:-없음} · sha256 검증)"
+  else R "{ a=\$(dpkg --print-architecture) && mkdir -p /tmp/fleet-kubectl-$KUBECTL_VER && cd /tmp/fleet-kubectl-$KUBECTL_VER && curl -fsSLo kubectl https://dl.k8s.io/release/$KUBECTL_VER/bin/linux/\$a/kubectl && curl -fsSLo kubectl.sha256 https://dl.k8s.io/release/$KUBECTL_VER/bin/linux/\$a/kubectl.sha256 && echo \"\$(cat kubectl.sha256)  kubectl\" | sha256sum --check && sudo -n install -o root -g root -m 0755 kubectl /usr/local/bin/kubectl; } >/tmp/fleet-kubectl.log 2>&1"
+    kv="$(R 'kubectl version --client -o json 2>/dev/null | python3 -c "import json,sys;print(json.load(sys.stdin)[\"clientVersion\"][\"gitVersion\"])"' 2>/dev/null)"
+    [ "$kv" = "$KUBECTL_VER" ] && ok "kubectl $kv (설치 · sha256 검증)" || bad "kubectl $KUBECTL_VER 설치 실패(sha256 이 틀리면 설치 안 함) — 원격 /tmp/fleet-kubectl.log"; fi
+  # L7. nodejs — codex CLI 가 node 셔뱅이다(없으면 usage 가 «app-server exited» 로 죽는다).
+  if R 'command -v node' >/dev/null; then ok "node $(R 'node --version')"
+  elif [ $CHECK = 1 ]; then todo "nodejs 설치(apt · codex CLI 셔뱅)"
+  else R 'sudo -n apt-get install -y -qq nodejs >/tmp/fleet-node.log 2>&1' && R 'command -v node' >/dev/null && ok "node (설치 · apt)" || bad "nodejs 설치 실패 — 원격 /tmp/fleet-node.log"; fi
+  # L8. codex CLI — 이 맥과 같은 판(bun 전역)
+  cv="$(R 'codex --version 2>/dev/null' 2>/dev/null | awk '{print $NF}')"
+  if [ -n "$cv" ] && { [ -z "$CODEX_VER" ] || [ "$cv" = "$CODEX_VER" ]; }; then ok "codex $cv"
+  elif [ $CHECK = 1 ]; then todo "codex CLI ${CODEX_VER:-?} (지금 ${cv:-없음} · bun add -g @openai/codex@<이 맥 판>)"
+  elif [ -z "$CODEX_VER" ]; then bad "이 맥에 codex 가 없어 판을 모른다 — ELANOUS_FLEET_CODEX_VERSION 으로 준다"
+  else R "bun add -g @openai/codex@$CODEX_VER >/tmp/fleet-codex.log 2>&1"; cv="$(R 'codex --version 2>/dev/null' 2>/dev/null | awk '{print $NF}')"
+    [ "$cv" = "$CODEX_VER" ] && ok "codex $cv (설치)" || bad "codex $CODEX_VER 설치 실패 — 원격 /tmp/fleet-codex.log"; fi
+}
+
+# tailnet 이름 — 인자(ELANOUS_FLEET_TSNAME)가 먼저 · 없으면 원격 tailscale(맥 갈래와 같은 명령) · WSL 이면 윈도우 쪽 tailscale.exe.
+linux_tsname() {
+  if [ -n "${ELANOUS_FLEET_TSNAME:-}" ]; then TSNAME="$ELANOUS_FLEET_TSNAME"; return; fi
+  [ -n "$TSNAME" ] || TSNAME="$(R 'tailscale.exe status --self --json 2>/dev/null | python3 -c "import json,sys;print(json.load(sys.stdin)[\"Self\"][\"DNSName\"].rstrip(\".\"))"' 2>/dev/null)"
+}
+
+# 미러 — HEAD 는 main(기본 master 면 첫 clone 이 깨진다). 이미 있고 HEAD 가 master 면 symbolic-ref 만 고친다(객체는 안 건드린다).
+linux_mirror() {
+  if R "test -d ~/mirror/elanous-agent.git"; then
+    if [ "$(R 'git --git-dir="$HOME/mirror/elanous-agent.git" symbolic-ref HEAD 2>/dev/null')" = refs/heads/main ]; then ok "호스트 git 미러 ~/mirror/elanous-agent.git (HEAD=main)"
+    elif [ $CHECK = 1 ]; then todo "호스트 git 미러 HEAD 를 main 으로(git symbolic-ref HEAD refs/heads/main)"
+    else R 'git --git-dir="$HOME/mirror/elanous-agent.git" symbolic-ref HEAD refs/heads/main' && ok "호스트 git 미러 (HEAD=main 으로 고침)" || bad "미러 HEAD 고치기 실패"; fi
+  elif [ $CHECK = 1 ]; then todo "호스트 git 미러 ~/mirror/elanous-agent.git 생성(git init --bare -b main) ⊕ 이 맥에서 첫 push"
+  else R "mkdir -p ~/mirror && git init -q --bare -b main ~/mirror/elanous-agent.git" && ok "호스트 git 미러 (생성 · HEAD=main · 첫 push 는 이 맥 크론)" || { bad "미러 생성 실패"; exit 1; }; fi
+}
+
+# 코드 밖 — 실행하지 않는다. 자격은 «어디에 무엇»만 적고 값을 읽거나 옮기지 않는다.
+linux_handoff() {
+  echo
+  echo "✋ 사람 손 할 일 (코드 밖 · 이 스크립트는 실행하지 않는다)"
+  echo "  1. 윈도우 Startup 폴더에 .cmd — wsl.exe -d <배포판 이름> (⚠️ 기본 배포판이 docker-desktop 일 수 있다 — -d 필수)"
+  echo "  2. %UserProfile%\\.wslconfig — [wsl2] memory=40GB · vmIdleTimeout=-1 (뒤 wsl --shutdown)"
+  echo "  3. 자격(대표 승인 뒤 · 값은 사람이 옮긴다): Pod Secret 둘 · ~/.cache/{openrouter,zai}_api_key · ~/.grok/auth.json · codex = ~/.elanous/auth.json 의 openai-codex* ⊕ ~/.codex*/auth.json"
+  echo "  4. codexHome 경로를 리눅스 홈(/home/<사용자>/…)으로 — 맥 경로 그대로면 usage 가 «authentication required»"
+  echo "  5. Pod 이미지는 이 노드에서 굽는다 — ELANOUS_BUILD_REMOTE=$HOST (x86_64 · 맥 arm64 이미지 못 씀)"
+}

package/scripts/fleet/node-setup.sh

@@ -3,6 +3,7 @@
 #   bash scripts/fleet/node-setup.sh <호스트> [--check]
 #   <호스트>  ssh 로 닿는 이름(예: node-b · node-c) — 이 맥에서 `ssh -o BatchMode=yes <호스트> true` 가 돼야 한다.
 #   --check  영구 설정을 바꾸지 않고 상태만 본다(단계마다 ✓ · ✗ · → 할 일). DNS 점검용 Pod 는 잠깐 만들었다 지운다.
+#   원격 `uname -s` = Linux(WSL Ubuntu 등)면 brew·OrbStack·Chrome·~/.zshenv 대신 리눅스 갈래(scripts/fleet/node-setup-linux.sh)를 탄다.
 # ⭐ 단계마다 «이미 돼 있으면 건너뛴다» — 몇 번 돌려도 같은 결과(재현 가능한 셋업).
 # ⛔ 원격의 다른 컨테이너·앱은 건드리지 않는다. 이 맥의 ~/.kube/config 는 바꾸기 전에 백업한다.
 set -u
@@ -20,6 +21,9 @@ echo "▶ 노드 $HOST$([ $CHECK = 1 ] && echo ' (점검만)')"
 
 # 1. ssh
 R true >/dev/null 2>&1 && ok "ssh" || { bad "ssh 불통 — 이 맥에서 ssh 키·Tailscale 확인"; exit 1; }
+# 1b. 원격 OS — Linux(WSL Ubuntu 등)면 리눅스 갈래(scripts/fleet/node-setup-linux.sh · apt·docker-ce·k3d install.sh). 맥은 아래 종전 단계 그대로.
+NODE_OS="$(R 'uname -s' 2>/dev/null)"
+if [ "$NODE_OS" = Linux ]; then . "$ROOT/scripts/fleet/node-setup-linux.sh"; linux_base; else
 # 2. brew · docker(OrbStack)
 R 'command -v brew' >/dev/null && ok "brew" || bad "brew 없음 — https://brew.sh 로 먼저 설치(사람이)"
 if R 'docker info --format "{{.ServerVersion}}"' >/dev/null 2>&1; then ok "docker $(R 'docker info --format "{{.ServerVersion}} cpu={{.NCPU}} mem={{.MemTotal}}"')"; else bad "docker 없음·꺼짐 — OrbStack 을 설치·실행(사람이 · ⛔ OrbStack 내장 k8s 는 NetworkPolicy 를 집행 안 한다 · k3d 를 쓴다)"; fi
@@ -36,6 +40,7 @@ if R 'test -f ~/.docker-fleet/config.json && DOCKER_CONFIG=~/.docker-fleet docke
 elif [ $CHECK = 1 ]; then todo "~/.docker-fleet(키체인 없는 docker 설정)"
 else R 'mkdir -p ~/.docker-fleet && ctx=$(python3 -c "import json,os;print(json.load(open(os.path.expanduser(\"~/.docker/config.json\"))).get(\"currentContext\",\"\"))" 2>/dev/null); printf "{\"currentContext\": \"%s\"}\n" "$ctx" > ~/.docker-fleet/config.json; [ -e ~/.docker-fleet/contexts ] || ln -s ~/.docker/contexts ~/.docker-fleet/contexts; [ -e ~/.docker-fleet/cli-plugins ] || [ ! -d ~/.docker/cli-plugins ] || ln -s ~/.docker/cli-plugins ~/.docker-fleet/cli-plugins'
   R 'DOCKER_CONFIG=~/.docker-fleet docker info >/dev/null 2>&1 && DOCKER_CONFIG=~/.docker-fleet docker buildx version >/dev/null 2>&1' && ok "플릿 docker 설정 (~/.docker-fleet 생성 · buildx)" || bad "플릿 docker 설정으로 docker 에 못 붙는다"; fi
+fi
 # 3. bun — 이 맥과 «같은 판»(시험 샤딩은 판이 같아야 비교된다).
 #    ⛔ 원격에 «다른 판» bun 이 이미 있으면 덮어쓰지 않는다(그 기계의 다른 일이 쓴다) — ~/.bun-<판> 에 나란히 둔다.
 #    ⛔ 나란히 설치할 땐 설치기가 셸 설정에 PATH 를 덧붙여 기본 bun 을 가로채지 않게, 셸 설정 파일을 전후로 되돌린다.
@@ -46,6 +51,7 @@ elif [ "$side" = "$BUN_VER" ]; then ok "bun $side (~/.bun-$BUN_VER · 기본 bun
 elif [ $CHECK = 1 ]; then todo "bun $BUN_VER 설치(기본 bun ${have:-없음} — $([ -n "$have" ] && echo '건드리지 않고 ~/.bun-'"$BUN_VER"' 에 나란히' || echo '~/.bun'))"
 elif [ -z "$have" ]; then R "curl -fsSL https://bun.sh/install | bash -s bun-v$BUN_VER >/dev/null 2>&1"; [ "$(R 'bun --version')" = "$BUN_VER" ] && ok "bun $BUN_VER (설치 · ~/.bun)" || bad "bun 설치 실패"
 else R "for f in .zshrc .bashrc .bash_profile .zprofile .profile .config/fish/config.fish; do [ -f \$HOME/\$f ] && cp -p \$HOME/\$f \$HOME/\$f.fleet-bak; done; curl -fsSL https://bun.sh/install | BUN_INSTALL=\$HOME/.bun-$BUN_VER bash -s bun-v$BUN_VER >/dev/null 2>&1; for f in .zshrc .bashrc .bash_profile .zprofile .profile .config/fish/config.fish; do [ -f \$HOME/\$f.fleet-bak ] && mv \$HOME/\$f.fleet-bak \$HOME/\$f; done"; [ "$(R "$FLEET_BUN --version")" = "$BUN_VER" ] && ok "bun $BUN_VER (설치 · ~/.bun-$BUN_VER · 기본 bun $have 그대로)" || bad "bun 나란히 설치 실패"; fi
+if [ "$NODE_OS" = Linux ]; then linux_tools; else
 # 4. Chrome (CDP 시험 레인 · 이 맥과 같은 조건)
 if R 'test -d "/Applications/Google Chrome.app"'; then ok "Chrome"
 elif [ $CHECK = 1 ]; then todo "Chrome 설치"
@@ -54,8 +60,10 @@ else R 'brew install --cask google-chrome >/tmp/fleet-chrome.log 2>&1' && ok "Ch
 if R 'command -v k3d' >/dev/null; then ok "k3d $(R 'k3d version | head -1 | cut -d" " -f3')"
 elif [ $CHECK = 1 ]; then todo "k3d 설치"
 else R 'brew install k3d >/tmp/fleet-k3d.log 2>&1' && ok "k3d (설치)" || bad "k3d 설치 실패"; fi
+fi
 # 6. 클러스터 elanous-pool — API 를 0.0.0.0:<포트> 로 · 인증서 SAN = 호스트 이름 ⊕ tailnet 이름
 TSNAME="$(R '(tailscale status --self --json 2>/dev/null || /Applications/Tailscale.app/Contents/MacOS/Tailscale status --self --json 2>/dev/null) | python3 -c "import json,sys;print(json.load(sys.stdin)[\"Self\"][\"DNSName\"].rstrip(\".\"))"' 2>/dev/null)"
+if [ "$NODE_OS" = Linux ]; then linux_tsname; fi
 # 5b. 노드 로컬 레지스트리 — 델타 판올림(대표 2026-09-26): 원격 빌드가 여기로 push 하면 «없는 층만» 올라가고
 #     Pod 는 커밋 태그로 pull 한다(종전 `k3d image import` 는 4GB 전체를 클러스터 저장소로 매번 복사했다).
 REGISTRY="${ELANOUS_FLEET_REGISTRY:-elanous-registry}"; REG_PORT="${ELANOUS_FLEET_REGISTRY_PORT:-5050}"
@@ -74,9 +82,11 @@ fi
 # 🪞 호스트 git 미러(대표 09-29) — Pod 는 GitHub 대신 이 미러에서 clone 한다(`ELANOUS_POD_HOST_MIRROR` · #21929).
 #   bare 미러 = 원격 ~/mirror/elanous-agent.git(없으면 만든다 · 갱신은 이 맥의 크론이 push). 클러스터 노드에 읽기 전용으로 붙인다.
 MIRROR_DIR='$HOME/mirror'; MIRROR_MOUNT=/mirror-host
+if [ "$NODE_OS" = Linux ]; then linux_mirror; else
 if R "test -d ~/mirror/elanous-agent.git"; then ok "호스트 git 미러 ~/mirror/elanous-agent.git"
 elif [ $CHECK = 1 ]; then todo "호스트 git 미러 ~/mirror/elanous-agent.git 생성(git init --bare) ⊕ 이 맥에서 첫 push"
 else R "mkdir -p ~/mirror && git init -q --bare ~/mirror/elanous-agent.git" && ok "호스트 git 미러 (생성 · 첫 push 는 이 맥 크론)" || { bad "미러 생성 실패"; exit 1; }; fi
+fi
 # 클러스터가 그 레지스트리를 쓰나 ⊕ 미러가 붙어 있나 — 둘 중 하나라도 아니면(옛 클러스터) 돌고 있는 Job 이 없을 때만 다시 만든다.
 #   ⛔ k3d 는 볼륨을 «클러스터 생성 때만» 붙인다 — 붙이려면 다시 만들 수밖에 없다.
 REG_WIRED=0; R "docker exec k3d-$CLUSTER-server-0 cat /etc/rancher/k3s/registries.yaml 2>/dev/null | grep -q k3d-$REGISTRY" && REG_WIRED=1
@@ -177,6 +187,7 @@ kubectl --context "$CTX" --request-timeout=10s -n elanous-test delete "pod/$DNS_
 v="$(kubectl --context "$CTX" --request-timeout=10s get nodes -o jsonpath='{.items[0].status.nodeInfo.kubeletVersion}' 2>/dev/null)"
 want="${K3S_IMAGE##*:}"; want="${want/-k3s/+k3s}"
 [ "$v" = "$want" ] && ok "k3s $v" || bad "k3s ${v:-응답 없음} ≠ 기대 $want"
+if [ "$NODE_OS" = Linux ]; then linux_handoff; fi
 echo
 if [ $FAIL = 0 ] && [ $TODO -gt 0 ]; then echo "→ $HOST 할 일 $TODO — --check 없이 다시 돌리면 채운다"; exit 2
 elif [ $FAIL = 0 ]; then echo "✓ $HOST 준비됨 — 풀에 넣기: ELANOUS_POD_POOL='…,$CTX@$HOST:<상한>#k3d-$REGISTRY:$REG_PORT'"; else echo "✗ $HOST 미완 — 위 ✗ 를 먼저"; fi

package/scripts/fleet/zai-pod-secret.ts

@@ -0,0 +1,86 @@
+#!/usr/bin/env bun
+/**
+ * ZAI-POD-CHILD (0.2.24) — 호스트 ZAI 키(키 캐시 `~/.cache/zai_api_key` → env `ZAI_API_KEY`) → 풀 클러스터의 glm Pod 전용 Secret(`elanous-zai-coding-plan`).
+ *
+ * ⛔ 값은 터미널·로그·파일 어디에도 안 낸다 — 키는 메모리에서 바로 `kubectl apply -f -` 의 stdin 으로만 간다. 출력은 «키 이름 · 대상» 뿐이다.
+ * ⛔ 기본은 «계획만»(dry-run · 클러스터 접촉 0). 실제로 만들려면 `--apply` — 승인 뒤에만 친다.
+ * 본보기 = scripts/fleet/bedrock-pod-secret.ts
+ *
+ * 사용:
+ *   bun scripts/fleet/zai-pod-secret.ts --context k3d-elanous-pool            # 계획만(키 이름)
+ *   bun scripts/fleet/zai-pod-secret.ts --context k3d-elanous-pool --apply    # 만든다/갱신한다
+ *   옵션: --namespace <ns>(기본 elanous-test)
+ * 짝: docker/h1/policy-zai.yaml(이그레스) · src/task-orchestrator/surfaces/pod-zai-child.ts(발사 전 판정 · 동시 상한)
+ */
+import { spawnSync } from 'node:child_process';
+import { ZAI_POD_SECRET_KEY, ZAI_POD_SECRET_NAME } from '../../src/task-orchestrator/surfaces/pod-zai-child.js';
+
+export interface ZaiSecretArgs { context?: string; namespace: string; apply: boolean }
+
+export function parseArgs(argv: readonly string[]): ZaiSecretArgs | { error: string } {
+  const out: ZaiSecretArgs = { namespace: 'elanous-test', apply: false };
+  for (let i = 0; i < argv.length; i++) {
+    const a = argv[i]!;
+    const value = () => { const v = argv[++i]; if (!v || v.startsWith('--')) throw new Error(`${a} 에 값이 없다`); return v; };
+    try {
+      if (a === '--context') out.context = value();
+      else if (a === '--namespace') out.namespace = value();
+      else if (a === '--apply') out.apply = true;
+      else return { error: `모르는 인자: ${a}` };
+    } catch (e) { return { error: (e as Error).message }; }
+  }
+  if (!out.context) return { error: '--context <풀 문맥> 이 필요하다 — 어느 클러스터에 둘지 명시한다(기본 문맥에 조용히 쓰지 않는다)' };
+  return out;
+}
+
+/** Secret 매니페스트 — 값은 이 객체 안에만 있고, 호출자는 stdin 으로만 넘긴다. */
+export function zaiPodSecretManifest(input: { namespace: string; key: string; name?: string }): Record<string, unknown> {
+  return {
+    apiVersion: 'v1', kind: 'Secret', type: 'Opaque',
+    metadata: { name: input.name ?? ZAI_POD_SECRET_NAME, namespace: input.namespace, labels: { 'elanous.secret': 'zai-coding-plan' } },
+    stringData: { [ZAI_POD_SECRET_KEY]: input.key },
+  };
+}
+
+/** 사람에게 보이는 계획 — 키 «이름»만. */
+export function describePlan(args: ZaiSecretArgs): string {
+  return [
+    `대상: --context ${args.context} · ${args.namespace}/${ZAI_POD_SECRET_NAME}`,
+    '출처: 호스트 키 캐시 ~/.cache/zai_api_key → env ZAI_API_KEY',
+    `키: ${ZAI_POD_SECRET_KEY} (값은 출력하지 않는다)`,
+  ].join('\n');
+}
+
+export interface Deps {
+  key: () => string | undefined;
+  kubectl: (args: string[], stdin: string) => { status: number | null; stdout: string; stderr: string };
+  print: (line: string) => void;
+}
+
+const defaultDeps: Deps = {
+  key: () => undefined,
+  kubectl: (args, stdin) => {
+    const r = spawnSync('kubectl', args, { input: stdin, encoding: 'utf8', timeout: 60_000 });
+    return { status: r.status, stdout: r.stdout ?? '', stderr: r.stderr ?? '' };
+  },
+  print: (line) => console.log(line),
+};
+
+export async function run(argv: readonly string[], deps: Deps = defaultDeps): Promise<number> {
+  const args = parseArgs(argv);
+  if ('error' in args) { deps.print(`⛔ ${args.error}`); return 2; }
+  const key = deps.key()?.trim();
+  if (!key) { deps.print('⛔ 호스트에 ZAI 키가 없다 — ~/.cache/zai_api_key 또는 env ZAI_API_KEY'); return 2; }
+  deps.print(describePlan(args));
+  if (!args.apply) { deps.print('계획만(dry-run) — 클러스터에 쓰지 않았다. 만들려면 --apply(승인 뒤)'); return 0; }
+  const r = deps.kubectl(['--context', args.context!, 'apply', '-f', '-'], JSON.stringify(zaiPodSecretManifest({ namespace: args.namespace, key })));
+  // kubectl apply 의 출력은 «secret/<이름> created|configured» 뿐이다 — stderr 는 원문 대신 rc 만.
+  if (r.status !== 0) { deps.print(`⛔ kubectl apply 실패 rc=${r.status}`); return 1; }
+  deps.print(`✅ ${r.stdout.trim().split('\n')[0] ?? 'applied'}`);
+  return 0;
+}
+
+if (import.meta.main) {
+  const { getZaiApiKey } = await import('../../src/llm/zai-coding-plan.js');
+  process.exit(await run(process.argv.slice(2), { ...defaultDeps, key: () => getZaiApiKey() }));
+}

package/scripts/land-global-checks.ts

@@ -25,6 +25,9 @@ export const LAND_GLOBAL_CHECKS: readonly LandGlobalCheck[] = [
   { pattern: /^docs\/ops\/machines\.yaml$/, test: 'test/machines-ledger-data.test.ts', why: '기계 원장 데이터 ↔ 생성 Markdown(#24729)' },
   // 새 CLI 하위 명령은 `src/index.ts` 또는 `src/cli/` 의 등록 모듈에서 생긴다 — 입구 목록 시험(#24661).
   { pattern: /^src\/(?:index|cli\/(?:[^/]+\/)*[^/]+)(?<!\.test)\.ts$/, test: 'src/index.test.ts', why: 'CLI 입구·하위 명령 목록(#24661)' },
+  // src/cli/ 밖의 명령 등록 모듈(`*-cli.ts` · `*-cli-command.ts`)도 하위 명령을 더한다 — 10-11 #26232 가
+  //   src/harness/harness-cli-command.ts 에 `harness progress` 를 더해 index.test 목록 스냅샷을 깨고 main 을 붉혔다.
+  { pattern: /^src\/(?:[^/]+\/)+[^/]+-cli(?:-command)?(?<!\.test)\.ts$/, test: 'src/index.test.ts', why: 'src/cli 밖 명령 등록 모듈의 하위 명령 목록(10-11 #26232)' },
 ];
 
 /** 바뀐 파일 → 끌려오는 전역 시험(표 순서 · 중복 없음). */

package/scripts/measure-log-diet-2.ts

@@ -0,0 +1,213 @@
+#!/usr/bin/env bun
+/**
+ * LOG-DIET-2 (0.2.24) — «같은 부하»에서 관측 «행 수»가 얼마나 줄었나를 재생(replay)으로 잰다.
+ *
+ * 왜 재생인가: 판정선은 «같은 부하에서 시간당 행 −60%»인데 72분 실물 런은 이 칸의 창에 들어가지
+ * 않는다. 그래서 칸 문면이 «측정값»으로 준 부하를 기록열로 재구성하고, 그 «같은» 기록열을
+ * 0.2.23 정책과 현재 정책 두 가드에 흘려 내보낸 행을 센다. 측정은 «정책 차이»이지 실물 재현이
+ * 아니다 — 이 한계를 출력에도 적는다.
+ *
+ * 실행: bun scripts/measure-log-diet-2.ts [--json]
+ * 계약: bun test scripts/measure-log-diet-2.test.ts
+ */
+import { LOG_DIET_KEYS, LogDietGuard } from '../src/debug/log-diet.js';
+import type { DebugEvent } from '../src/debug/log.js';
+
+/** 0.2.23 절식 정책 — A/B «기준선»으로 얼려 둔 사본(현재 `LOG_DIET_KEYS` 와 의도적으로 다르다). */
+export const LOG_DIET_KEYS_0_2_23: Readonly<Record<string, 'repeat' | 'consecutive'>> = {
+  'watchdog/activity': 'consecutive',
+  'user-config.llm/provider-resolved': 'repeat',
+  'hitl.card-bridge/skipped': 'repeat',
+  'input.cursor.claim/chat-main': 'repeat',
+  'tox.loop/waiting-capacity': 'repeat',
+  'tox.loop/tick': 'repeat',
+};
+
+/** 관측된 `log.diet/suppressed` 4,313행(72분) ≈ 초당 1회 flush — 그 주기를 기준선으로 쓴다. */
+export const REPLAY_FLUSH_EVERY_MS = 1_000;
+export const REPLAY_WINDOW_MS = 72 * 60_000;
+
+export type ReplayRecord = Pick<DebugEvent, 'category' | 'event' | 'data' | 'level'> & { atMs: number };
+
+export type LoadGroup = {
+  /** `category/event` */
+  key: string;
+  level?: DebugEvent['level'];
+  /** 창(72분) 동안 관측된 행 수 */
+  rows: number;
+  /** 서로 다른 payload 수 — 1 이면 전부 한 스트림으로 접힌다 */
+  distinctValues: number;
+  source: 'measured' | 'assumed';
+  note: string;
+};
+
+/** 판정 부하: 칸 문면이 수로 준 군 ⊕ 판정 경로(미등록 키) 0-손실 대조군. */
+export const LOG_DIET_2_LOAD: readonly LoadGroup[] = [
+  {
+    key: 'llm.credential/provider-key-missing', level: 'warn', rows: 5_207, distinctValues: 1,
+    source: 'measured', note: '칸 문면 측정값 — 72분 5,207행, 같은 (provider, source, context)',
+  },
+  {
+    key: 'log-diet.replay/judgment-path', rows: 300, distinctValues: 300,
+    source: 'assumed', note: '합성 대조군 — 미등록(판정 경로) 키는 100% 통과해야 한다',
+  },
+];
+
+export type ReplayResult = {
+  rowsIn: number;
+  /** 통과한 원본 행 + `log.diet/suppressed` 요약 행 */
+  rowsOut: number;
+  originalRows: number;
+  summaryRows: number;
+  /** 요약 행이 실어 나른 접힌 기록의 총수 — `originalRows + suppressedTotal === rowsIn` 이어야 한다 */
+  suppressedTotal: number;
+  judgmentRowsIn: number;
+  judgmentRowsOut: number;
+  judgmentLoss: number;
+  /** 1 − rowsOut/rowsIn */
+  reductionRatio: number;
+  /** 참고값 — 내보낸 행 중 `log.diet` 요약 행의 비중(0~1). 판정 ② «총/목록 밖 비»가 «아니다» — 그 비는 재생으로 못 잰다. */
+  summaryShare: number;
+};
+
+export function isJudgmentPath(rec: Pick<DebugEvent, 'category' | 'event'>): boolean {
+  return rec.category !== 'log.diet' && !LOG_DIET_KEYS[`${rec.category}/${rec.event}`];
+}
+
+/** 같은 기록열을 두 정책(기준선/현재)에 흘릴 수 있게 군을 시간순 기록열로 펼친다. */
+export function buildReplayRecords(
+  groups: readonly LoadGroup[],
+  windowMs = REPLAY_WINDOW_MS,
+): ReplayRecord[] {
+  const records: ReplayRecord[] = [];
+  for (const group of groups) {
+    const [category, event] = group.key.split('/');
+    if (!category || !event) throw new Error(`잘못된 부하 키: ${group.key}`);
+    const step = group.rows > 0 ? windowMs / group.rows : windowMs;
+    for (let i = 0; i < group.rows; i++) {
+      const seq = group.distinctValues > 1 ? i % group.distinctValues : 0;
+      records.push({
+        atMs: Math.round(i * step),
+        category,
+        event,
+        data: { key: group.key, seq },
+        ...(group.level ? { level: group.level } : {}),
+      });
+    }
+  }
+  return records.sort((a, b) => a.atMs - b.atMs);
+}
+
+export function replayDiet(
+  records: readonly ReplayRecord[],
+  makeGuard: (now: () => number) => LogDietGuard,
+  flushEveryMs = REPLAY_FLUSH_EVERY_MS,
+): ReplayResult {
+  let clock = 0;
+  const guard = makeGuard(() => clock);
+  let originalRows = 0;
+  let summaryRows = 0;
+  let suppressedTotal = 0;
+  let judgmentRowsIn = 0;
+  let judgmentRowsOut = 0;
+  let nextFlush = flushEveryMs;
+  for (const rec of records) {
+    while (nextFlush <= rec.atMs) {
+      clock = nextFlush;
+      const released = guard.flushPending();
+      summaryRows += released.length;
+      suppressedTotal += released.reduce((sum, s) => sum + s.count, 0);
+      nextFlush += flushEveryMs;
+    }
+    clock = rec.atMs;
+    const judgment = isJudgmentPath(rec);
+    if (judgment) judgmentRowsIn++;
+    const decision = guard.admit(rec);
+    if (decision.pass) {
+      originalRows++;
+      if (judgment) judgmentRowsOut++;
+    }
+    summaryRows += decision.summaries.length;
+    suppressedTotal += decision.summaries.reduce((sum, s) => sum + s.count, 0);
+  }
+  clock = (records.at(-1)?.atMs ?? 0) + flushEveryMs;
+  const drained = guard.drain();
+  summaryRows += drained.length;
+  suppressedTotal += drained.reduce((sum, s) => sum + s.count, 0);
+  const rowsOut = originalRows + summaryRows;
+  return {
+    rowsIn: records.length,
+    rowsOut,
+    originalRows,
+    summaryRows,
+    suppressedTotal,
+    judgmentRowsIn,
+    judgmentRowsOut,
+    judgmentLoss: judgmentRowsIn - judgmentRowsOut,
+    reductionRatio: records.length === 0 ? 0 : 1 - rowsOut / records.length,
+    summaryShare: rowsOut === 0 ? 0 : summaryRows / rowsOut,
+  };
+}
+
+export type Diet2Measurement = {
+  windowMinutes: number;
+  flushEveryMs: number;
+  records: number;
+  groups: readonly LoadGroup[];
+  /** 0.2.23 정책(기준선) */
+  before: ReplayResult;
+  /** 현재 정책(LOG-DIET-2) */
+  after: ReplayResult;
+  /** 1 − after.rowsOut / before.rowsOut — 판정선 −60% 가 무는 값 */
+  reduction: number;
+};
+
+export function measureLogDiet2(
+  groups: readonly LoadGroup[] = LOG_DIET_2_LOAD,
+  windowMs = REPLAY_WINDOW_MS,
+): Diet2Measurement {
+  const records = buildReplayRecords(groups, windowMs);
+  const before = replayDiet(records, now => new LogDietGuard({
+    now,
+    keys: LOG_DIET_KEYS_0_2_23,
+    summaryMinIntervalMs: 0,
+    summaryMaxPending: 1,
+  }));
+  const after = replayDiet(records, now => new LogDietGuard({ now }));
+  return {
+    windowMinutes: Math.round(windowMs / 60_000),
+    flushEveryMs: REPLAY_FLUSH_EVERY_MS,
+    records: records.length,
+    groups,
+    before,
+    after,
+    reduction: before.rowsOut === 0 ? 0 : 1 - after.rowsOut / before.rowsOut,
+  };
+}
+
+const pct = (ratio: number): string => `${(ratio * 100).toFixed(1)}%`;
+
+function report(m: Diet2Measurement): string {
+  const lines: string[] = [
+    `LOG-DIET-2 재생 측정 — 창 ${m.windowMinutes}분 · flush ${m.flushEveryMs}ms · 기록 ${m.records}행`,
+    '⚠ 정책 차이의 재생 측정이다(72분 실물 런 아님). 부하 군:',
+    ...m.groups.map(g => `   - ${g.key} ${g.rows}행/${g.distinctValues}값 [${g.source}] ${g.note}`),
+    '',
+    `기준선(0.2.23)  행 ${m.before.rowsOut} (원본 ${m.before.originalRows} + 요약 ${m.before.summaryRows} · 접힌 기록 ${m.before.suppressedTotal})`,
+    `현재(LOG-DIET-2) 행 ${m.after.rowsOut} (원본 ${m.after.originalRows} + 요약 ${m.after.summaryRows} · 접힌 기록 ${m.after.suppressedTotal})`,
+    `보존            : 원본+접힌 기록 = 입력  → ${m.after.originalRows}+${m.after.suppressedTotal}=${m.records}  ${m.after.originalRows + m.after.suppressedTotal === m.records ? 'PASS' : 'FAIL'}`,
+    '',
+    `판정 ① 같은 부하 시간당 행 −60%      : ${pct(m.reduction)} 감소  → ${m.reduction >= 0.6 ? 'PASS' : 'FAIL'}`,
+    `판정 ② 총/목록 밖 비 ≤ 1.03          : 재생으로 못 잰다(unmeasured · 실물 logs 목록 대비 필요) — 참고: 요약 행 비중 ${m.after.summaryShare.toFixed(3)}`,
+    `판정 ③ 판정 경로 이벤트 0 손실       : ${m.after.judgmentRowsOut}/${m.after.judgmentRowsIn} 통과 (손실 ${m.after.judgmentLoss})  → ${m.after.judgmentLoss === 0 ? 'PASS' : 'FAIL'}`,
+  ];
+  return lines.join('\n');
+}
+
+if (import.meta.main) {
+  const m = measureLogDiet2();
+  if (process.argv.includes('--json')) console.log(JSON.stringify(m, null, 2));
+  else console.log(report(m));
+  const ok = m.reduction >= 0.6 && m.after.judgmentLoss === 0; // 판정 ② 는 여기서 판정하지 않는다(unmeasured)
+  process.exit(ok ? 0 : 1);
+}